美 미네소타 수도시설 30여곳 해킹…이란 배후설에 트럼프는 주정부 탓

[서울=뉴시스]박영환 기자 = 미국 내 최소 7개 주의 상하수도 시설이 사이버공격을 받아 일부 지역에서 수압이 떨어지거나 시설이 침수되는 등 운영 장애가 발생했다. 미네소타주에서는 지역 상수도 시설 30여 곳이 공격 표적이 됐다. 식수 오염 사례는 보고되지 않았다.

영국 가디언은 4일(현지시간) 이번 공격의 피해와 배후를 둘러싼 논란, 도널드 트럼프 미국 대통령과 미네소타 주정부의 책임 공방을 보도했다.

미 연방수사국(FBI)과 환경보호청(EPA)이 지난달 30일 발표한 공동 경보에 따르면 27일 이후 최소 7개 주의 상하수도 사업자가 사이버공격 피해를 신고했다.

공격자들은 펌프 가동과 수압 등을 자동으로 감시·제어하는 산업용 제어장치(PLC)를 노렸다. 특히 인터넷에 직접 연결된 록웰 오토메이션의 마이크로로직스 1100·1400 계열 장치에서 공격 흔적이 확인됐다.

공격자들은 장치의 인터넷 주소와 비밀번호를 바꿔 운영자가 시설 상태를 확인하거나 장비를 제어하지 못하게 했다. 일부 지역에서는 수압이 떨어지거나 수도시설에 물이 차는 피해가 발생했다. 일부 사업자는 주민들에게 물을 끓여 마시도록 안내했지만 식수 오염은 확인되지 않았다.

미네소타 IT서비스는 지난달 26~27일 지역 상수도 시설 30여 곳을 겨냥한 조직적인 공격이 발생했다고 밝혔다. 다만 공격 표적이 된 시설 모두에서 급수 장애가 발생한 것은 아니다. 주민들에게 수돗물을 끓여 마시거나 사용을 제한하라고 안내한 지방자치단체도 없었다.

FBI와 EPA는 상하수도 사업자들에게 PLC를 인터넷에서 분리하거나 방화벽 등 보안 장치를 설치하고 비밀번호를 바꾸라고 권고했다. 공격받았을 때 자동 제어를 끄고 수동으로 시설을 운전할 수 있도록 대비하라고도 했다.

공격 수법과 피해 범위는 확인됐지만 배후는 아직 드러나지 않았다. 뉴욕타임스와 워싱턴포스트 등은 익명의 미 정부 관계자들을 인용해 이란 또는 이란과 연계된 해커들이 배후일 가능성이 있다고 보도했다. 그러나 FBI와 미 사이버안보·인프라보안국(CISA)은 공격 단체나 이란 정부의 개입을 공개적으로 확인하지 않았다.

트럼프 대통령은 지난달 31일 메릴랜드주 캠프데이비드에서 열린 국무회의에서 근거를 제시하지 않은 채 주정부에 책임을 돌렸다. 그는 “미네소타 주정부가 매우 무능하다”며 “주정부와 부패한 주지사에게 책임이 있다고 본다”고 말했다. 이어 “이란은 미네소타를 걱정할 때가 아니라 더 큰 문제를 안고 있다”고 했다.

팀 월즈 미네소타 주지사는 엑스(X)에 “트럼프 대통령은 이번 공격의 책임자가 누구인지 정확히 알고 있고, 다른 주들도 공격받았다는 사실도 안다”며 “이번 공격은 현대전이 어떤 모습인지 보여주며 트럼프 행정부에 이란과의 전쟁을 이길 계획이 없다는 점을 거듭 드러낸다”고 맞받았다.

미 당국은 이번 공격이 발생하기 전부터 이란 연계 해커의 기반시설 공격 가능성을 경고해왔다. CISA는 지난 4월 인터넷에 연결된 산업용 제어장치를 겨냥한 이란 연계 해커들의 활동을 경고했다. 7월22일에는 보안 지침과 취약 가능 제조업체 명단을 추가해 경보를 갱신했다. 이는 미국 기반시설을 겨냥한 이란 연계 해킹 위협 전반에 대비하기 위한 예방 지침이다.

미국 상하수도 시설은 이전에도 외국 정부와 연계된 해커들의 공격을 받았다. 2024년에는 러시아 연계 공격으로 텍사스주 뮬슈의 수도 시스템에서 물이 넘쳤다. 2023~2024년에는 이란 연계 해킹 단체가 펜실베이니아주 일부 수도시설의 산업용 제어장치를 공격했다.

산업 제어시설 보안 기업들의 모임인 운영기술사이버보안연합(OTCC)은 주·지방정부에 대한 연방정부의 사이버보안 지원을 확대해야 한다고 촉구했다. 연합은 2021년 기반시설법에 따라 주·지방정부에 4년간 10억 달러를 지원하는 사이버보안 보조금 사업의 재승인과 추가 예산 편성을 요구했다. 타티아나 볼턴 OTCC 사무총장은 “보조금 사업을 연장하지 않으면 소도시들이 이란처럼 국가의 지원을 받는 공격 세력에 스스로 맞서야 한다”고 말했다.


◎공감언론 뉴시스 [email protected]